Tout syst\u00e8me utilisant OpenSSL pour impl\u00e9menter les protocoles de session SSL et TLS. En particulier le module mod_ssl d'Apache ou les impl\u00e9mentations TLS des serveurs de messagerie Sendmail, Postfix, Qmail,... et les services POP ou IMAP s\u00e9curis\u00e9s par Stunnel sont impact\u00e9s.
","content":"## Description\n\nLes certificats, utilis\u00e9s par les protocoles SSL/TLS, sont des\nstructures cod\u00e9es \u00e0 l'aide d'un langage standard, ASN.1 (Abstract Syntax\nNotation One). Lors du traitement de donn\u00e9es ne respectant\nvolontairement pas les r\u00e8gles de ce langage, le d\u00e9codeur peut mal g\u00e9rer\nl'information re\u00e7ue.\n\nTrois vuln\u00e9rabilit\u00e9s associ\u00e9es ont \u00e9t\u00e9 d\u00e9couvertes dans OpenSSL :\n\n- l'usage d'une balise ASN.1 peu usit\u00e9e peut provoquer un acc\u00e8s\n m\u00e9moire incoh\u00e9rent engendrant un d\u00e9ni de service (r\u00e9f\u00e9rences\n CAN-2003-0543 et CAN-2003-0544) ;\n- une cl\u00e9 publique invalide peut arr\u00eater inopin\u00e9ment le d\u00e9codeur\n lorsqu'il lui est sp\u00e9cifi\u00e9 d'ignorer les erreurs (configuration\n employ\u00e9e en test et non en production) ;\n- des structures ASN.1 rejet\u00e9es comme invalides provoquent de\n mauvaises gestions de la m\u00e9moire qui pourraient \u00eatre exploit\u00e9es pour\n ex\u00e9cuter du code arbitraire \u00e0 distance (r\u00e9f\u00e9rence CAN-2003-0545).\n\nPar ailleurs, un mauvais respect des sp\u00e9cifications SSLv3 et TLS fait\nqu'un serveur utilisant OpenSSL accepte les certificats client\nlorsqu'ils ne sont pourtant pas sollicit\u00e9s. Cela offre l'opportunit\u00e9\nd'exploiter les failles d\u00e9crites ci-dessus.\n\n## Solution\n\nMettre \u00e0 jour OpenSSL.\n\n- Code source d'OpenSSL en versions 0.9.6l ou 0.9.7c au moins :\n\n http://www.openssl.org\n\n- Linux Red Hat :\n\n https://rhn.redhat.com/errata/RHSA-2003-290.html\n\n https://rhn.redhat.com/errata/RHSA-2003-291.html\n\n https://rhn.redhat.com/errata/RHSA-2003-292.html\n\n https://rhn.redhat.com/errata/RHSA-2003-293.html\n\n- Mandrake Linux :\n\n http://www.mandrakesecure.net/en/advisories/advisory.php?name=MDKSA-2003:098\n\n- Slackware Linux :\n\n http://slackware.com/security/viewer.php?l=slackware-security&y=2003&m=slackware-security.464492\n\n- SuSE Linux :\n\n http://www.suse.com/de/security/2003_043_openssl.html\n\n- Debian GNU/Linux :\n\n http://www.debian.org/security/2003/dsa-393\n\n- Apple MacOS X :\n\n http://docs.info.apple.com/article.html?artnum=61798\n\n- OpenBSD :\n\n http://www.openbsd.com/errata.html#asn1\n\n- FreeBSD :\n\n ftp://ftp.freebsd.org/pub/FreeBSD/CERT/advisories/FreeBSD-SA-03:18.openssl.asc\n\n- NetBSD :\n - OpenSSL versions 0.9.7 :\n\n ftp://ftp.netbsd.org/pub/NetBSD/security/advisories/NetBSD-SA2003-017.txt.asc\n\n - OpenSSL versions 0.9.6 :\n\n ftp://ftp.netbsd.org/pub/NetBSD/security/advisories/NetBSD-SA2004-003.txt.asc\n\n- SGI Irix :\n\n ftp://patches.sgi.com/support/free/security/advisories/20030904-01-P.asc\n\n- HP-UX :\n - Serveur web Apache :\n\n http://www4.itrc.hp.com/service/cki/docDisplay?docId=HPSBUX0310-284\n\n http://www4.itrc.hp.com/service/cki/docDisplay?docId=HPSBUX0310-285\n\n - \\`\\`AAA Server'' :\n\n http://www4.itrc.hp.com/service/cki/docDisplay?docId=HPSBUX0310-286\n\n - \\`\\`HP WBEM Services'' :\n\n http://www4.itrc.hp.com/service/cki/docDisplay?docId=HPSBUX0310-288\n\n- Cisco :\n\n http://www.cisco.com/warp/public/707/cisco-sa-20030930-ssl.shtml\n\n- Stunnel :\n\n http://www.stunnel.org\n\n- Nortel Networks \\`\\`Alteon Switched Firewall'', \\`\\`Alteon iSD - SSL\n Accelerator'', CallPilot, Contivity, \\`\\`Succesion Communication\n Server 2000 - Compact'' et \\`\\`Preside Service Provisioning'' :\n\n Contacter le revendeur.\n\n- Sun Linux et Cobalt :\n\n http://sunsolve.sun.com/pub-cgi/retrieve.pl?doc=fsalert/57100\n\n- SunPlex (Sun Cluster) :\n\n http://sunsolve.sun.com/pub-cgi/retrieve.pl?doc=fsalert/57475\n\n- Sun Java System Web Server et Java System Application Server :\n\n http://sunsolve.sun.com/pub-cgi/retrieve.pl?doc=fsalert/57498\n\n- Novell eDirectory :\n\n http://support.novell.com/cgi-bin/search/searchtid.cgi?/2967568.htm\n\n- Check Point :\n\n Contacter le revendeur.\n\n- Oracle9i database et application server, Oracle HTTP Server :\n\n http://otn.oracle.com/deploy/security/pdf/2003alert62.pdf\n\n- VMWare GSX et ESX Server :\n\n http://www.wmware.com/support/kb/enduser/std_adp.php?p_faqid=1165\n\n- SSH Secure Shell :\n\n http://www.ssh.com/company/newsroom/article/476\n\n- SSH Sentinel :\n\n http://www.ssh.com/company/newsroom/article/477\n","cves":[],"links":[{"title":"Avis de s\u00e9curit\u00e9 du CERT/CC du 1er octobre 2003 :","url":"http://www.cert.org/advisories/CA-2003-26.html"},{"title":"Avis de s\u00e9curit\u00e9 OpenSSL :","url":"http://www.openssl.org/news/secadv_20031104.txt"},{"title":"Suivi des vuln\u00e9rabilit\u00e9s OpenSSL du CERT/CC :","url":"http://www.kb.cert.org/vuls/id/380864"},{"title":"Avis de s\u00e9curit\u00e9 006489/TLS du NISCC :","url":"http://www.uniras.gov.uk/vuls/2003/006489/tls.htm"},{"title":"Suivi des vuln\u00e9rabilit\u00e9s des autres impl\u00e9mentations SSL/TLS du CERT/CC :","url":"http://www.kb.cert.org/vuls/id/104280"},{"title":"Avis de s\u00e9curit\u00e9 OpenSSL :","url":"http://www.openssl.org/news/secadv_20030930.txt"},{"title":"Suivi des vuln\u00e9rabilit\u00e9s OpenSSL du CERT/CC :","url":"http://www.kb.cert.org/vuls/id/255484"},{"title":"Suivi des vuln\u00e9rabilit\u00e9s OpenSSL du CERT/CC :","url":"http://www.kb.cert.org/vuls/id/686224"},{"title":"Suivi des vuln\u00e9rabilit\u00e9s OpenSSL du CERT/CC :","url":"http://www.kb.cert.org/vuls/id/935264"},{"title":"Avis de s\u00e9curit\u00e9 006489/OpenSSL du NISCC :","url":"http://www.uniras.gov.uk/vuls/2003/006489/openssl.htm"},{"title":"Suivi des vuln\u00e9rabilit\u00e9s OpenSSL du CERT/CC :","url":"http://www.kb.cert.org/vuls/id/732952"}],"reference":"CERTA-2003-AVI-156","revisions":[{"description":"version initiale ;","revision_date":"2003-09-30T00:00:00.000000"},{"description":"correction du lien Cisco, ajout du mauvais respect la sp\u00e9cification de la norme par OpenSSL, ajout de Mandrake, Slackware, SGI, Stunnel, ajout de nouvelles notes de vuln\u00e9rabilit\u00e9 du CERT/CC ;","revision_date":"2003-10-01T00:00:00.000000"},{"description":"ajouts de l'avis de s\u00e9curit\u00e9 du CERT/CC, d'Apache sous HP-UX, de SuSE et Debian ;","revision_date":"2003-10-03T00:00:00.000000"},{"description":"ajouts d'autres produits HP, d'OpenBSD, FreeBSD et NetBSD, mise \u00e0 jour du lien Apple et introduction de Nortel Networks ;","revision_date":"2003-10-13T00:00:00.000000"},{"description":"Nouvel avis OpenSSL, mise \u00e0 jour en 0.9.6l, r\u00e9f\u00e9rence CVE CAN-2003-0851, ajouts de Sun, Novell, Check Point, Oracle et VMWare ;","revision_date":"2003-12-16T00:00:00.000000"},{"description":"ajouts des r\u00e9f\u00e9rences aux bulletins relatifs \u00e0 SunPlex (Sun Cluster), Sentinel et Secure Shell de SSH ;","revision_date":"2004-01-22T00:00:00.000000"},{"description":"ajout d'un nouvel avis NetBSD pour les versions 0.9.6 d'OpenSSL ;","revision_date":"2004-02-27T00:00:00.000000"},{"description":"ajout des Java Servers de Sun.","revision_date":"2004-03-11T00:00:00.000000"}],"risks":[{"description":"Ex\u00e9cution de code arbitraire \u00e0 distance"},{"description":"D\u00e9ni de service"}],"summary":"Un utilisateur mal intentionn\u00e9 peut transmettre un certificat\nvolontairement mal form\u00e9 qui entra\u00eenera un d\u00e9ni de service ou\nl'ex\u00e9cution de code arbitraire sur l'h\u00f4te destinataire.\n","title":"Failles dans des impl\u00e9mentations de SSL/TLS","vendor_advisories":[{"published_at":null,"title":"Avis de s\u00e9curit\u00e9 du NISCC","url":null}]}